Folgender Sachverhalt ist lt. Beilage .A aktenkundig:

Das mit 26.11.2020 datierte Schreiben des Datenschutzsenats der Evangelischen Kirche A.u.H.B. in Österreich (in der Folge: Datenschutzsenat) wurde der Evangelischen Kirche A.u.H.B. in Österreich (in der Folge: Evangelische Kirche) als Adressatin am selben Tag zugestellt.

Darin erteilt der Datenschutzsenat „auf der Grundlage der Art. 142 Abs. 2 KV iVm Art. 58 Abs. 2 lit. d, f, j DSGVO“ die Anweisung, „ab sofort alle weiteren Umstiegshandlungen auszusetzen und dem Datenschutzsenat bis spätestens 3. Dezember 2020 über den Sachstand zu berichten und insbesondere darzulegen, auf welche Weise die Evangelische Kirche A.u.H.B. in Österreich die Datenschutzkonformität des Dienstes Microsoft 365 trotz den oben wiedergegebenen Bedenken sicherzustellen gedenkt“. Nach dem Inhalt dieses Schreibens wurde diese Anweisung bereits in einer Sitzung des Datenschutzsenates am 16. November 2020 einstimmig beschlossen.

Begründend führt der Datenschutzsenat zusammengefasst aus, er habe davon Kenntnis erlangt, dass die Evangelische Kirche im Bereich ihrer Pfarrgemeinden die Nutzung des Dienstes „Microsoft 365“ propagiere. Mit der Nutzung dieses Dienstes sei die Annahme standardisierter Vertragsbedingungen und die Speicherung von Nutzerdaten in wo auch immer gelegenen Rechenzentren von Microsoft verbunden. Der Datenschutzsenat sei nicht in der Lage, die angekündigte Nutzung dieses Dienstes einer umfassenden eigenen Prüfung zu unterziehen und greife in Erfüllung seiner Aufgaben auf ihm unbedenklich erscheindende Untersuchungen Dritter zurück. So habe die deutsche Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder mehrheitlich zustimmend zur Kenntnis genommen, dass zwei dem genannten Dienst zugrunde liegenden (näher genannte) Vertragsdokumente (mit Stand Jänner 2020) keinen datenschutzgerechten Einsatz ermöglichten.

Die Evangelische Kirche qualifiziert dieses Schreiben - unabhängig von der fehlenden Bezeichnung „Bescheid“ - als Bescheid oder hilfsweise jedenfalls als Maßnahme des Datenschutzsenats und bekämpft die darin enthaltene Anweisung - fristgerecht - mit Beschwerde an den Revisionssenat. Ihr Rechtsmittel verbindet die Evangelische Kirche mit dem Antrag, dem Rechtsmittel aufschiebende Wirkung zuzuerkennen.

Zur Begründung wird zusammengefasst ausgeführt, die Evangelische Kirche befinde sich seit dem Vorjahr in einer Umstellungsphase, was den reibungslosen Arbeitsablauf in Richtung Verarbeitung der Daten und Datenaustausch/Datenverkehr zwischen der Landeskirche, Gesamtkirchen, Superintendenzen, Pfarr- und Teilgemeinden betreffe. Der Grund liege darin, dass das bisher verwendete System (Microsoft Exchange Server 2010 inklusive Upgrade von Microsoft Office 2010) sein technisches Lebensende erreicht habe und vom Betreiber nicht mehr gewartet werde. Die Datenschutzbeauftragte der Evangelischen Kirche A.u.H.B. in Österreich Mag. Sigrun Plattner LL.M. habe am 7.11.2019 eine umfassende Stellungnahme fachlicher Art über die geplante Änderung und den angedachten Umstieg im Bereich der Evangelischen Kirche auf Office 365 erarbeitet (Beil./B). Darin seien klare Hinweise enthalten, was aus Sicht der Datenschutzbeauftragten zulässig und unbedenklich sei und inwieweit die eine oder andere Funktion nicht freizuschalten bzw. zu deaktivieren sein werde. Der Datenschutzsenat habe sodann gegenüber der Datenschutzbeauftragten in Gesprächen erklärt, keine Bedenken dagegen zu haben, sodass über den Jahreswechsel 2019/2020 die Ablöse des Microsoft Exchange Server 2010 inklusive Upgrade von Microsoft Office 2010 auf Microsoft Office 365 umgesetzt worden sei. Auch in einer virtuellen Konferenz am 20.4.2020 sei die Thematik der Umstellung auf Microsoft Office 365 (inklusive auch diesbezügliches HomeOffice von Mitarbeiter/innen des Kirchenamtes A.B.) besprochen worden, ohne dass Mitglieder des Datenschutzsenates dagegen Einwände erhoben hätten.

Einer der Kritikpunkte am Dienst „Microsoft Office 365“– außerhalb der Evangelischen Kirche A.u.H.B. in Österreich – sei das mögliche Monitoring der Überwachung der Arbeitsleistung durch Microsoft Analytik. Für die Evangelische Kirche sei allerdings sichergestellt, dass Vorgesetzte nicht auf die serverseitige Auswertung Zugriff bekämen, da ein Monitoring zur Leistungsanalyse in Österreich sowohl datenschutzrechtlich als auch arbeitsrechtlich unzulässig wäre. Auch habe die Evangelische Kirche nur eine begrenzte Anzahl von Programmen freigeschaltet, nämlich jene, bei denen die Daten in Rechenzentren innerhalb der Europäischen Union verarbeitet würden. Bei der für die Evangelische Kirche installierten Version Microsoft 365 sei der Versand von Diagnose- und Telemetriedaten automatisch untersagt und finde nicht statt.

Der Datenschutzsenat habe die angefochtene Anweisung bzw. den Bescheid erlassen, ohne zuvor ein Ermittlungsverfahren durchzuführen und der Evangelischen Kirche Parteiengehör zu gewähren. Die Entscheidung sei deshalb infolge von Verletzung von Verfahrensvorschriften, aber auch ihrem Inhalt nach rechtswidrig.

Die Aussetzung der Umstellung auf Microsoft 365 mit der sofortigen Deaktivierung der Microsoft 365 Pakete, die im Kirchenamt A.B. für die Evangelische Kirche A.u.H.B. in Österreich, Evangelische Kirche A.B. in Österreich, Evangelische Kirche H.B. in Österreich, Superintendenzen, Pfarrgemeinden und Einrichtungen installiert und verwendet werden, hätte gerade im jetzigen Zeitpunkt massive negative Eingriffe in das geistliche und gottesdienstliche Leben der Gesamtkirche und Pfarrgemeinden zur Folge, daneben auch beachtliche negative wirtschaftliche Folgen. Die Kirchenleitungen könnten ab sofort nicht mehr mit den Pfarrgemeinden und anderen Organisationseinheiten auf elektronischem Wege kommunizieren, was im Zusammenhang mit den laufenden Anpassungen von Covid-19-Maßnahmen aufgrund von Verordnungen der zuständigen Bundesminister und Gesprächen bzw. Vereinbarungen der Kirchenleitung mit der Bundesregierung bedeuten würde, dass wichtige Empfehlungen und Anordnungen im Zusammenhang mit Gottesdiensten und Andachten im Dezember 2020 nicht mehr elektronisch, sondern nur mehr postalisch weitergegeben und umgesetzt werden könnten. Weitere Erschwernisse ergäben sich in den Bereichen Kirchenbeitragseinhebung und Matrikenwesen.

Eine Umstellung des laufenden Microsoft 365 Systems inklusive der Dienst E-Mail-Adresse auf ein selbst betriebenes System mit anderen Softwarelizenzen erfordere eine Umstellungszeit von rund sechs bis acht Monaten bei einem Finanzaufwand von mindestens 220.000 EUR.

Die staatliche österreichische Datenschutzbehörde habe sich bislang zum Einsatz von Microsoft Office 365 weder geäußert noch Überprüfungsverfahren eingeleitet oder Untersagungsbescheide erlassen. Office 365 (mindestens Microsoft Teams, Word und PowerPoint) sei zu Schulzwecken in öffentlichen Schulen in Verwendung. Geistliche Amtsträger/innen, die im Rahmen ihres Dienstauftrages Religionsunterricht erteilen, müssten diesen Dienst verwenden.

Der Evangelische Oberkirchenrat A.u.H.B. habe (noch vor Zustellung der hier bekämpften Entscheidung) nach Anhörung von Rechts- und Verfassungsausschuss der Generalsynode die Durchführungsverordnung ABl. Nr. 215/2020 (Mail-VO 2.40.0204 betreffend dienstliche E-Mail-Adressen) mit Rechtswirksamkeit 6.12.2020 beschlossen.

Bei der entsprechenden Interessensabwägung ergebe sich sohin, dass bei Zuerkennung der aufschiebenden Wirkung vorerst keine gravierenden Nachteile Dritter in Richtung Datensicherheit erwachsen werden, andererseits bei sofortigem Vollzug der Anweisung des Datenschutzsenates den Evangelischen Kirchen ein unwiederbringlicher und schwerer Nachteil entstehen würde. Zu berücksichtigen sei auch, dass alle Nachteile – in welcher Form auch immer – die Evangelischen Kirchen treffen würden, da der Datenschutzsenat eine unabhängige Aufsichtsbehörde der Evangelischen Kirchen sei, deren Kosten und finanziellen Aufwand die Evangelischen Kirchen zu tragen hätten.

Eine Gegenäußerung der belangten Behörde zur Beschwerde wurde wegen der Dringlichkeit zur Erledigung des Antrags auf Zuerkennung aufschiebender Wirkung vorläufig noch nicht eingeholt.

Abs 1

Beschwerden nach Art. 119 Abs. 1 Z. 6 KV sind binnen vier Wochen nach Zustellung der Entscheidung der letzten Instanz beim Revisionssenat einzubringen.

Abs 3

Beschwerden und Anfechtungen gemäß Art. 119 Abs. 1 Z. 6 und Abs. 3 KV sowie Anträge auf Wiedereinsetzung in den vorigen Stand wegen Versäumnis der Beschwerdefrist haben keine aufschiebende Wirkung. Aufschiebende Wirkung kann im Einzelfall auf Antrag des Beschwerdeführers zuerkannt werden, wenn ihm ohne diese aufschiebende Wirkung bei denkmöglicher Stattgebung der Beschwerde ein nicht wieder gutzumachender oder unverhältnismäßiger Nachteil entstünde.

Gegen Bescheide und Maßnahmen des Datenschutzsenates sowie im Falle der Verletzung der Entscheidungspflicht des Datenschutzsenates sind ausschließlich Beschwerden (Rechtsbehelfe) an den Revisionssenat möglich.

Der Revisionssenat erkennt:

10. über Beschwerden gegen Bescheide und Maßnahmen des Datenschutzsenates, soweit der Beschwerdeführer oder die Beschwerdeführerin behauptet, in seinen bzw. ihren datenschutzrechtlich gewährleisteten Rechten verletzt zu sein; sowie über die Verletzung der Entscheidungspflicht des Datenschutzsenates und in sonstigen Angelegenheiten des kirchlichen Datenschutzrechtes.

Abs 1

Der Datenschutzsenat ist die unabhängige Aufsichtsbehörde der Evangelischen Kirche A.u.H.B. in Österreich, der in ihr zusammengeschlossenen Evangelischen Kirche A.B. in Österreich, Evangelischen Kirche H.B. in Österreich samt deren selbstständigen Körperschaften (Art. 13 Abs. 1) im Bereich des Datenschutzes gemäß Art. 91 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz- Grundverordnung), ABI. (EU) Nr. L 119 v. 04.05.2016.

Abs 2

Dem Datenschutzsenat kommen die Aufgaben einer Aufsichtsbehörde gemäß Kapitel VI. der Datenschutz-Grundverordnung inklusive der staatlichen Datenschutzbehörde im Sinne staatlicher gesetzlicher Bestimmungen sinngemäß für den Bereich der Evangelischen Kirche A.u.H.B. in Österreich (samt Evangelischer Kirche A.B. und Evangelischer Kirche H.B. samt deren selbstständiger Körperschaften gemäß Art. 13 Abs. 1) zu.

Der Datenschutzsenat kann gegenüber Körperschaften gemäß § 1 Bescheide erlassen, um den Datenschutz im Sinne dieses Kirchengesetzes zu gewährleisten. Eine Ausfertigung des Bescheides ist dem Oberkirchenrat A.u.H.B. (soferne dieser nicht Bescheidadressat selbst ist) abschriftlich zur Verfügung zu stellen, damit dieser allenfalls nötige Maßnahmen, aber auch die Einleitung von Disziplinarverfahren gegen Amtsträger veranlassen kann. Gegen solche Bescheide kann binnen vier Wochen Beschwerde an den Revisionssenat vom Bescheidadressat erhoben werden.

Jede Aufsichtsbehörde verfügt über sämtliche folgenden Abhilfebefugnisse, die es ihr gestatten,